Una vulnerabilidad crítica ha sido identificada en el sistema de gestión de despliegues Argo CD, que podría permitir a tokens de API con permisos básicos acceder a credenciales sensibles de repositorios. Esta brecha afecta específicamente al endpoint /api/v1/projects/{project}/detailed.
Causa y alcance de la vulnerabilidad
El problema se debe a un fallo en el sistema de autorización del Project API, lo que permite que cualquier token de API con permisos de «get» sobre proyectos solicite el endpoint detallado. La vulnerabilidad no se limita a roles específicos, sino que afecta a cualquier usuario o servicio con permisos estándar.
Riesgos asociados
Las credenciales filtradas pueden facilitar el robo de código fuente y permitir manipulación de pipelines CI/CD. Además, los actores maliciosos podrían exfiltrar datos confidenciales o inyectar código malicioso en etapas críticas del ciclo de vida de software.
Impacto potencial
El riesgo para la confidencialidad de proyectos es significativo, ya que el acceso no autorizado a credenciales puede ampliar el potencial de compromiso en procesos CI/CD. La exposición de datos sensibles podría permitir operaciones de espionaje o alteración de flujos de desarrollo.
Medidas de mitigación
Para resolver este problema, se recomienda actualizar Argo CD a una versión corregida (v3.1.2, v3.0.14, v2.14.16 o v2.13.9). También es importante auditar tokens API existentes y revocar los innecesarios. Se sugiere revisar cuidadosamente los logs en busca de accesos sospechosos al endpoint vulnerado.
Además, se recomienda fortalecer la segmentación de roles y aplicar políticas mínimas de privilegios para limitar el acceso a recursos críticos.